據區塊鏈分析公司Elliptic的最新報告（更新至週五），與Binance創紀錄失竊案相關的駭客已開始將大部分被竊XRP兌換成比特幣。約4,200萬枚XRP（價值約5,000萬美元）已被兌換，其中大部分透過THORChain轉移——這是一個去中心化的跨鏈交換網路，能在沒有中心化託管方介入的情況下，於不同區塊鏈之間交換原生資產。

Elliptic報告指出，這些兌換使來自該駭客事件其他被竊資產的比特幣在一夜之間增至約1,650枚BTC，價值約1.24億美元。其中大部分增幅來自XRP途徑。約1.92億枚XRP（價值約2.26億美元）仍留在與該失竊案相關的地址中，尚未兌換。

這批XRP是10月29日資金外流事件的一部分，Binance事後估計損失為63.4億美元。當天UTC時間20:05至20:09之間，五個與網際網路連線的熱錢包將2.3346億枚XRP轉移至一個駭客控制的地址。FBI已將此次攻擊行動歸因於北韓的TraderTraitor組織——美國當局此前曾將該組織與多起高價值交易所和跨鏈橋竊案聯繫起來。Binance其後分階段重新開放提現，表示已凍結或攔截約28.5億美元，並正以自有資金彌補客戶損失。

被竊XRP如何開始轉移

被竊的XRP起初處於靜止狀態。Elliptic表示，11月2日凌晨UTC時間02:12至04:00之間，全部約2.33億枚XRP轉入六個新地址，並一直停留至11月5日。從11月5日下午開始，其中兩個地址開始將XRP轉發至數十個新帳戶，這些帳戶將資金兌換，大部分透過THORChain換成比特幣。當晚亦有少量以太幣經THORChain兌換成比特幣。

Elliptic表示，該失竊案的主要比特幣和以太幣持倉——最大的資金池——至今尚未轉移。這種模式與該公司在Bybit遭駭後觀察到的情況一致——即2025年2月的攻擊事件，從該交易所竊取約15億美元以太幣，FBI同樣將其歸因於北韓駭客：先將可凍結和流動性中等的代幣兌換成比特幣，之後再透過場外經紀商嘗試變現。

整個洗錢行動的規模已十分龐大。自該失竊案以來，Elliptic已追蹤到16條區塊鏈上超過20,000個錢包、至少36個服務和至少65,000筆交易——大約每30秒新增一個錢包，每10秒產生一筆交易。約31.1億美元仍留在與該事件相關的地址中，主要為以太幣和比特幣，而迄今可能僅有極少量資金已被變現。

為何XRP和比特幣在此事件中如此關鍵

發行方可以凍結許多穩定幣；但無法以同樣方式凍結XRP，也無法凍結比特幣。在Tether和Circle於10月29日鎖定大筆穩定幣之後，駭客優先處理位於此「緊急開關」之外的資產。將XRP換成比特幣延續了同樣的邏輯：一旦比特幣被分散到多個新地址，追回的難度將大大提高。

所有被竊的SOL——按Elliptic的估值約8,700萬美元——已被兌換、跨鏈或混幣，其中大部分最終轉為比特幣。早期的Tron洗錢——約2.2億美元的TRX——大部分也已完成；Bitcoin Magazine在報導該駭客事件前T3金融犯罪小組悄然停止運作時，曾標記這一資金流向。主要的以太幣和NEAR資金池僅有少量轉移。

部分兌換後的比特幣已進入Wasabi風格的CoinJoin——一種將眾多支出者的代幣匯集以切斷可追蹤連結的混幣技術——自11月1日以來約33枚BTC（250萬美元），另有約110萬美元的以太幣和SOL在Privacy Cash暫停入金前流入該資金池。Elliptic表示，這種速度指向傳統的自動化操作，而非由AI代理即時決策：固定的時間、設定的金額、盲目重試，以及相隔數小時引入的新手法。

美國銀行監管機構在Binance事件後已向放貸機構了解情況。對比特幣市場而言，更迫近的問題是：在任何人嘗試變現之前，剩餘約1.92億枚XRP——以及最終閒置的以太幣——還會有多少被換成BTC。

現在的考驗在於，THORChain營運者和其他跨鏈橋能否足夠迅速地持續封鎖已公布的駭客地址，以減緩XRP兌換成比特幣的管道，還是其餘資金將沿著先前5,000萬美元已走過的隔夜路徑繼續轉移。

本文基於最初發表於Bitcoin Magazine的文章，作者為Micah Zimmerman。